NIS2 für IT-Dienstleister: was ist anders?

Kurz und knapp

NIS2 trifft IT-Dienstleister härter als andere Sektoren. Sie stehen direkt in Annex I als „IKT-Dienst-Manager" und zusätzlich indirekt als Glied in jeder NIS2-Lieferkette ihrer Kunden. Praktisch bedeutet das: ein Managed-Service-Provider mit 50+ Mitarbeitenden oder 10+ Mio. € Umsatz fällt zwingend in den Anwendungsbereich, ein kleinerer MSP fällt indirekt über Kundenanforderungen rein. Wer Kunden in den NIS2-Sektoren bedient (Energie, Gesundheit, Verkehr, Banken, etc.), erbt deren Lieferanten-Mindestmaßnahmen. Seit Inkrafttreten des NIS2UmsuCG am 6.12.2025 (BGBl. 2025 I Nr. 301) sind Meldepflicht, Lieferanten-Audit und Vorstandshaftung scharf.

NIS2 trifft IT-Dienstleister direkt (Annex I)

Die NIS2-Richtlinie (EU) 2022/2555 unterscheidet in Annex I „hochkritische Sektoren". Darunter explizit:

• „IKT-Dienst-Manager" (B2B), umfasst nach Anhang I Nr. 8 unter anderem:
  • Managed Service Provider (MSP)
  • Managed Security Service Provider (MSSP)
  • Cloud-Computing-Dienstleister
  • Rechenzentrums-Dienstleister
  • Content-Delivery-Network-Anbieter
  • Anbieter elektronischer Vertrauensdienste (eIDAS)

In Annex II („andere kritische Sektoren") stehen ergänzend:

• Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, Cloud-Marketplaces)
• Anbieter sozialer Netzwerke

Die Schwellen aus Art. 2 NIS2 gelten dabei: Wesentliche Einrichtung ab 250 Mitarbeitenden oder 50 Mio. € Umsatz / 43 Mio. € Bilanzsumme, wichtige Einrichtung ab 50 Mitarbeitenden oder 10 Mio. €. Unterhalb dieser Schwellen kann trotzdem Betroffenheit bestehen, wenn die EU-Mitgliedstaaten dies in der nationalen Umsetzung ausweiten, Deutschland hat im NIS2UmsuCG (in Kraft seit 6.12.2025) entsprechende Tatbestände aufgenommen.

Welche IT-Services genau betroffen sind

Nicht jeder IT-Dienstleister ist automatisch in Annex I. Die Abgrenzung erfolgt nach Service-Art:

In-Scope (Annex I oder II):

• Managed Operations (Betrieb von Kunden-Infrastruktur, 24/7-Monitoring, Patch-Management)
• SOC- und SIEM-Services
• Cloud-Hosting (IaaS / PaaS, auch private Cloud-Build-Outs für einen einzelnen Großkunden)
• Rechenzentrum-Colocation
• CDN- und DNS-Services
• Identity-Provider und SSO-Dienste
• Backup-as-a-Service / Disaster-Recovery
• Software-as-a-Service für kritische Geschäftsprozesse (Buchhaltung, ERP, Personal)

Grenzfälle:

• Reine Lizenz-Reseller ohne eigene Betriebs-Verantwortung
• Schulungs-Anbieter ohne Tool-Betrieb
• Beratungs-Dienstleister, die kein Kunden-System betreiben (typisch projekt-basiert, kein „ongoing service")

Wahrscheinlich out-of-scope:

• Einzelpersonen-Freelance-Entwicklung ohne Hosting-Komponente
• Reine Code-Repository-Dienstleister ohne Betriebsverantwortung, sofern unterhalb Schwellen

In den Grenzfällen entscheidet die tatsächliche Service-Architektur, nicht die Vertragsbeschriftung. Eine Aufsichtsbehörden-Prüfung schaut auf SLAs, Verantwortlichkeiten in Incident-Cases und SOC2/ISO27001-Berichte.

Der Lieferketten-Multiplikator-Effekt

Selbst wer formal unterhalb der NIS2-Schwellen liegt, kann durch Kunden in den Anwendungsbereich gezogen werden. Art. 21 Abs. 2 lit. d) NIS2 verpflichtet jede betroffene Einrichtung, „Sicherheit in der Lieferkette" zu organisieren, inklusive Vertragsklauseln, Audit-Rechten und Mindeststandards bei Lieferanten.

Praktisch heißt das:

1. Eine NIS2-betroffene Bank bestellt Cloud-Hosting bei einem MSP.
2. Der MSP wird im Vertrag verpflichtet, NIS2-konforme Mindestmaßnahmen umzusetzen, auch wenn er selbst keine NIS2-Einrichtung ist.
3. Der MSP muss daher dasselbe Niveau an Risiko-Management, Incident-Reporting und Lieferanten-Steuerung zeigen, vertraglich gebunden statt gesetzlich gebunden, aber faktisch identisch.

Diesen Effekt kennen wir aus DORA für den Finanzsektor und aus dem LkSG für Lieferketten generell. Bei NIS2 ist er weniger explizit formuliert, aber durch die Verantwortungs-Kaskade in Art. 21 stark ausgeprägt.

Spezifische Pflichten für IT-Dienstleister

Zusätzlich zu den 11 Mindestmaßnahmen aus Art. 21 Abs. 2 gelten für IT-Dienstleister Verschärfungen:

1. Erweiterte Meldepflichten. Nach Art. 23 NIS2 müssen wesentliche Vorfälle innerhalb von 24 Stunden frühwarnend und 72 Stunden detailliert an die zuständige Stelle gemeldet werden. Für IT-Dienstleister kommt eine Kunden-Benachrichtigungspflicht hinzu, sobald Kunden direkt betroffen sind.

2. Schwachstellen-Disclosure. Anbieter von „relevanten Produkten und Diensten" müssen Schwachstellen koordiniert offenlegen (Art. 12). In Verbindung mit dem Cyber Resilience Act (CRA) verschärft sich diese Pflicht ab 2027 erheblich.

3. Vorstandshaftung. Art. 20 NIS2 verpflichtet die Leitungsorgane persönlich. Vorstände und Geschäftsführer müssen Schulungen zur Cyber-Risiko-Bewertung nachweisen und können bei Verstößen mit Bußgeldern bis 10 Mio. € / 2 % Jahresumsatz (wesentliche Einrichtung) bzw. 7 Mio. € / 1,4 % (wichtige Einrichtung) belegt werden.

4. Audit-Bereitschaft. Die Aufsichtsbehörden (in Deutschland: BSI und sektor-spezifische Stellen) können bei wesentlichen Einrichtungen anlasslose Vor-Ort-Prüfungen anordnen. IT-Dienstleister müssen technische Maßnahmen und organisatorische Dokumentation jederzeit prüffähig vorhalten.

5. Krypto-Pflichten. Art. 21 Abs. 2 lit. h) NIS2 erwähnt explizit Verschlüsselung. Für IT-Dienstleister bedeutet das mindestens TLS 1.2+ in Transit, AES-256 at-rest, dokumentiertes Key-Management und idealerweise Post-Quantum-Vorbereitung im Roadmap-Horizont 2027–2030.

Praxis-Empfehlungen

Empfehlung 1, Eigene Betroffenheit klären. Erst die NIS2-Schwellen prüfen (Mitarbeitende + Umsatz), dann den Service-Katalog gegen Annex I/II abgleichen, dann Großkunden-Verträge auf Lieferanten-Klauseln durchsuchen. Drei separate Schritte, kein Komplett-Bauchgefühl.

Empfehlung 2, Kunden-Vertragsmuster überarbeiten. NIS2-Lieferanten-Klauseln werden Standard. Wer als IT-Dienstleister proaktiv ein NIS2-konformes Annex zu bestehenden Verträgen anbietet, hebt sich von der Konkurrenz ab und verhindert ad-hoc-Nachverhandlungen.

Empfehlung 3, Incident-Response-Drehbuch validieren. Die 24h-Frist nach Art. 23 ist scharf. Wer nicht spätestens am Tag der Entdeckung eine vollständige Erstmeldung absetzen kann, verliert. Tabletop-Übungen mit Kunden gemeinsam sind ein starkes Verkaufsargument.

Empfehlung 4, ISO 27001-Roadmap als Basis nutzen. Wer ISO 27001 zertifiziert ist, deckt rund 70–80 % der NIS2-Mindestmaßnahmen technisch ab. Was fehlt: NIS2-spezifische Lieferanten-Steuerung, Vorstandshaftung-Nachweise und die Meldepflicht-Prozesse.

Empfehlung 5, DACH-Aufsicht aufmerksam beobachten. BSI veröffentlicht laufend NIS2-Konkretisierungen. Wer als IT-Dienstleister NIS2 monetarisieren will (Beratung, Audit, MSSP), muss näher am BSI sein als die eigenen Kunden.

FAQ

Wir sind ein 12-Personen-MSP, fallen wir unter NIS2? Direkt durch Schwellen-Argumentation: nein. Indirekt durch NIS2-Kunden: oft ja, sobald ein Kunde aus den hochkritischen Sektoren euch verpflichtet. Klärung über Kunden-Vertragsanalyse, nicht über Mitarbeiterzahl.

Reicht eine ISO-27001-Zertifizierung als NIS2-Nachweis? Nicht vollständig. ISO 27001 deckt das Mindestmaßnahmen-Set technisch gut ab, aber die NIS2-spezifischen Meldepflichten, Vorstandshaftung und Lieferanten-Audit-Prozesse müssen ergänzt werden. ISO ist Basis, nicht Endpunkt.

Was passiert, wenn ein Kunde uns ohne NIS2-Klausel beauftragt und wir betroffen werden? Die gesetzliche NIS2-Pflicht gilt unabhängig vom Vertrag, sobald ihr in Annex I/II fallt und die Schwellen erreicht. Der Vertrag ändert nichts an der gesetzlichen Verantwortung, nur an der zivilrechtlichen Haftung gegenüber dem Kunden.

Wie schnell muss die 24h-Frühwarnung erfolgen? Ab Kenntnis eines „erheblichen Sicherheitsvorfalls", nicht ab Verifikation. Das setzt eine Definition voraus, was bei euch „erheblich" auslöst. Erheblich heißt nach Art. 23 Abs. 3 NIS2 unter anderem: erhebliche Betriebsstörung oder finanzieller Verlust beim Kunden, oder erhebliche Schäden Dritter.

Welche Strafe droht bei Verstoß? Wesentliche Einrichtung: bis 10 Mio. € oder 2 % Jahresumsatz (der höhere Wert). Wichtige Einrichtung: bis 7 Mio. € oder 1,4 %. Zusätzlich kann die Aufsichtsbehörde die persönliche Verantwortlichkeit der Leitungsorgane aussprechen, bis hin zu Tätigkeitsverboten.

Wann tritt das deutsche NIS2-Gesetz endgültig in Kraft? Stand 2026-05-17: NIS2UmsuCG ist seit 6. Dezember 2025 in Kraft (BGBl. 2025 I Nr. 301). Registrierungs- und Meldepflichten gelten, IT-Dienstleister mit Sektor-Zuordnung sollten ihren Selbstidentifikations-Status überprüfen.

Was unterscheidet einen NIS2-MSP-Vertrag von einem normalen MSA? Mindestens: Auditrecht für den Kunden, Mindestmaßnahmen-Klausel mit Bezug auf Art. 21 Abs. 2 NIS2, Meldepflicht-Zeitfenster (24 / 72 h) als vertragliche Verpflichtung, Lieferketten-Disclosure beim MSP, Sub-Prozessor-Anzeigepflicht.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand 2026-05-17. Eine konkrete Einzelfallprüfung ersetzt sie nicht.